当您在DSW实例内访问其他云资源时，必须配置访问密钥来验证身份信息。通过为DSW实例关联RAM角色，您可以在实例内基于STS临时凭证访问其他云资源，无需再配置长期AccessKey，降低密钥泄露的风险。本文为您介绍如何创建可信实体为阿里云服务的RAM角色并授权给DSW实例，以及如何基于实例RAM角色获取STS临时访问凭证。
背景信息
实例RAM角色是一种可信实体为阿里云服务的RAM角色，即允许云服务扮演的角色，用于解决跨服务访问的问题。关于RAM角色的详细说明，请参见什么是RAM角色。
基于实例RAM角色获取临时访问凭证来验证身份信息和访问权限控制，具有以下优势：
安全保密
无需在实例内管理凭据，使用STS临时访问凭证替代长期AccessKey，降低密钥泄露风险。
便捷可控
通过修改实例RAM角色的权限策略，可更便捷、更精细地控制各开发者在DSW实例内访问云资源时的权限。
使用限制
一个DSW实例现只能关联一个RAM角色。
步骤一：为DSW实例配置RAM角色
场景一：为实例授权PAI默认角色
PAI默认角色仅拥有访问PAI内部产品、MaxCompute和OSS的权限，且权限更加精细。基于PAI默认角色签发的临时访问凭证，在访问PAI内部产品、MaxCompute表时，将拥有等同于DSW实例所有者的权限；在访问OSS时，仅能访问当前工作空间配置的默认存储路径Bucket。
为实例授权PAI默认角色能够让您无需额外创建RAM角色，即可在实例内获取一份可访问基本开发资源、且无越权的临时访问凭证。
为实例授权PAI默认角色后，以下场景的用户可以免配置AK：
通过PAI SDK创建训练任务提交至当前工作空间。
通过DLC SDK创建训练任务提交至当前工作空间。
通过ODPS SDK提交任务到实例所有者有执行权限的MaxCompute项目中。
通过OSS SDK访问当前工作空间配置的默认存储路径Bucket中的数据。
在WebIDE中使用通义灵码服务。
场景二：为实例授权自定义角色
登录RAM控制台，创建RAM角色。具体操作，请参见创建可信实体为阿里云服务的RAM角色。
其中，关键参数配置如下：
角色类型：阿里云服务
角色类型：普通服务角色
选择受信服务：人工智能平台PAI
为已创建的实例RAM角色授权。
将系统策略或者自定义权限策略授权给RAM角色，使其拥有相关的资源访问或操作权限。具体操作，请参见步骤三：为RAM角色授权。
（可选）PAI默认角色的RAM策略如下，您可以基于该策略进行添加或修改。
{ "Version": "1", "Statement": [ { "Action": [ "oss:GetObject", "oss:PutObject", "oss:DeleteObject", "oss:ListParts", "oss:AbortMultipartUpload", "oss:ListObjects", "oss:ListBuckets", "oss:PutBucketCors", "oss:GetBucketCors", "oss:DeleteBucketCors", "oss:GetBucketInfo" ], "Resource": [ "acs:oss:*:*:${bucketName}", "acs:oss:*:*:${bucketName}/*" ], "Effect": "Allow" }, { "Effect": "Allow", "Action": [ "odps:ActOnBehalfOfAnotherUser" ], "Resource": "acs:odps:*:*:users/*" }, { "Effect": "Allow", "Action": [ "pai:AssumeUser" ], "Resource": "acs:pai:*:*:users/*" } ] }说明若您使用的是RAM用户（子账号），请联系阿里云账号（主账号）为您授予使用该实例RAM角色的权限。
权限策略请参见如下代码，其中，需要将
${RoleName}替换为DSW实例RAM角色的名称。{ "Version": "1", "Statement": [ { "Effect": "Allow", "Action": "ram:PassRole", "Resource": "acs:ram::*:role/${RoleName}" } ] }创建DSW实例并关联实例RAM角色。具体操作，请参见创建DSW实例。
场景三：实例不关联RAM角色
如果您的实例设置为工作空间公开可见，建议不要为实例关联RAM角色，避免权限泄露。您可以在新建实例或变更实例配置时，将高级信息区域的实例RAM角色设置为不关联角色。
更新实例RAM角色配置
进入DSW页面。
登录PAI控制台。
在概览页面选择目标地域。
在左侧导航栏单击工作空间列表，在工作空间列表页面中单击待操作的工作空间名称，进入对应工作空间内。
在工作空间页面的左侧导航栏选择模型开发与训练>交互式建模（DSW），进入DSW页面。
单击DSW实例右侧的变更配置。
在高级信息区域配置实例RAM角色。
说明当实例RAM由PAI默认角色/自定义角色切换为不关联角色，或由不关联角色切换为PAI默认角色/自定义角色时，如果实例正在运行中，更新操作会立即重启实例。请确保您已及时保存实例。
完成配置后，单击确定。
步骤二：基于实例RAM角色获取临时访问凭证
您可在授权过RAM角色的DSW实例中通过以下方式获取临时访问凭证。
方式一：通过Credentials工具获取
Credentials工具会调用实例本地的服务（实例创建时已自动注入）获取STS临时访问凭证，该凭证会周期性更新。
通过Credentials工具获取实例RAM角色的访问凭证，需要执行如下命令安装阿里云Credentials工具（以Python为例）。
pip install alibabacloud_credentialsCredentials工具使用示例如下，更多语言SDK示例，请参见使用访问凭据访问阿里云OpenAPI最佳实践。
from alibabacloud_credentials.client import Client as CredClient
from alibabacloud_credentials.models import Config as CredConfig
credentialsConfig = CredConfig(
type='credentials_uri' # 选填。若您未配置其他“默认凭据链”访问方式，您无需再显式指定，Credentials SDK会通过uri方式获取临时凭证
)
credentialsClient = CredClient(CredConfig)
方式二：直接访问DSW实例本地服务获取
在DSW实例内，您可在Terminal执行如下命令，访问本地自动注入的server直接获取。
# 获取实例RAM角色的临时授权访问凭证
curl $ALIBABA_CLOUD_CREDENTIALS_URI返回示例如下，其中：
SecurityToken：实例RAM角色的临时Token。
Expiration：实例RAM角色的临时授权访问凭证的有效期。
{
"Code": "Success",
"AccessKeyId": "STS.N*********7",
"AccessKeySecret": "3***************d",
"SecurityToken": "DFE32G*******"
"Expiration": "2024-05-21T10:39:29Z"
}方式三：直接访问实例本地内文件获取
您可在DSW实例内访问指定路径的文件（由PAI自动注入并周期性刷新），获取实例RAM角色的临时访问凭证。该文件所在的路径为/mnt/.alibabacloud/credentials，文件内容如下：
{
"AccessKeyId": "STS.N*********7",
"AccessKeySecret": "3***************d",
"SecurityToken": "DFE32G*******"
"Expiration": "2024-05-21T10:39:29Z"
}步骤三：基于实例RAM角色访问其他云产品
示例一：基于实例RAM角色访问ODPS
执行如下命令，安装Credentials工具和ODPS SDK。
# 安装credentials工具 pip install alibabacloud_credentials # 安装odps sdk pip install odps使用实例RAM角色的临时凭证访问ODPS，并获取指定项目的table列表。
from alibabacloud_credentials import providers from odps.accounts import CredentialProviderAccount from odps import ODPS if __name__ == '__main__': account = CredentialProviderAccount(providers.DefaultCredentialsProvider()) o = ODPS( account=account, project="{odps_project}", #需替换为您的project名称 endpoint="{odps_endpoint}"#需替换为您的project所在region的endpoint ) for t in o.list_tables(): print(t)
示例二：基于实例RAM角色访问OSS
执行如下命令，安装Credentials工具和OSS SDK。
# 安装credentials工具 pip install alibabacloud_credentials # 安装oss sdk pip install oss2使用实例RAM角色的临时凭证访问OSS，并列举指定Bucket下的10个文件。
import oss2 from alibabacloud_credentials.client import Client from alibabacloud_credentials import providers from itertools import islice auth = oss2.ProviderAuth(providers.DefaultCredentialsProvider()) bucket = oss2.Bucket(auth, '{oss_endpoint}',#需替换为您的oss bucket所在region的endpoint '{oss_bucket}'#需替换为您的oss bucket名称 ) for b in islice(oss2.ObjectIterator(bucket), 10): print(b.key)
示例三：基于实例RAM角色访问DLC
执行如下命令，安装Credentials工具、OpenAPI SDK和DLC SDK。
# 安装credentials工具 pip install alibabacloud_credentials # 安装阿里云openapi sdk pip install alibabacloud-tea-util alibabacloud_tea_openapi # 安装pai-dlc sdk pip install alibabacloud_pai_dlc20201203使用实例RAM角色的临时凭证访问PAI-DLC，并列举指定工作空间下的DLC任务。
from alibabacloud_credentials.client import Client as CredClient from alibabacloud_tea_openapi.models import Config from alibabacloud_pai_dlc20201203.client import Client as pai_dlc20201203Client from alibabacloud_pai_dlc20201203 import models as pai_dlc_20201203_models from alibabacloud_tea_util.models import RuntimeOptions # 使用Credentials工具初始化DLC client credentialsClient = CredClient() config = Config(credential=credentialsClient) config.endpoint = '{dlc_endpoint}' #需替换为您所在region的endpoint client = pai_dlc20201203Client(config) # 初始化请求，并调用ListJobs API list_jobs_request = pai_dlc_20201203_models.ListJobsRequest() list_jobs_request.workspace_id = '{workspace_id}' #需替换为您的工作空间ID runtime_options = RuntimeOptions() headers = {} resp = client.list_jobs_with_options(list_jobs_request, headers, runtime_options) jobs = resp.to_map()['body']['Jobs'] print(jobs[0])
常见问题
选择自定义角色时，创建实例报错PassRoleFailedError，应如何解决？
登录RAM控制台，确认该角色是否存在。
若角色不存在，您需将实例RAM角色修改为已存在的角色。
若角色存在，您需联系主账号，为您的子账号授予使用该角色的权限。权限策略如下（需将
${RoleName}替换为RAM角色的名称）：{ "Version": "1", "Statement": [ { "Effect": "Allow", "Action": "ram:PassRole", "Resource": "acs:ram::*:role/${RoleName}" } ] }
选择自定义角色时，创建实例报错AssumeRoleFailedError，应如何解决？
该问题的原因，一般由于是您的角色未配置信任策略。请按照如下步骤进行操作：
使用RAM管理员登录RAM控制台。
在左侧导航栏，选择身份管理>角色。
在角色页面，单击目标RAM角色名称。
在信任策略页签，单击编辑信任策略。
修改信任策略内容，然后单击保存信任策略。
例如，假设该角色原始的信任策略为：
{ "Statement": [ { "Action": "sts:AssumeRole", "Effect": "Allow", "Principal": { "RAM": [ "acs:ram::aaa:root" ], "Service": [ "xxx.aliyuncs.com" ] } } ], "Version": "1" }新的策略需要修改为：
{ "Statement": [ { "Action": "sts:AssumeRole", "Effect": "Allow", "Principal": { "RAM": [ "acs:ram::aaa:root" ], "Service": [ "xxx.aliyuncs.com", "pai.aliyuncs.com" ] } } ], "Version": "1" }